L'amende de 825 millions d'euros d'Uber et l'accord avec la police qui la remet en cause

L'Autorité néerlandaise de protection des données et la CNIL française ont infligé cette semaine à Uber une amende de près de 825 millions d'euros pour des décisions automatisées affectant ses chauffeurs. Il s'agit de la dernière d'une série de sanctions auxquelles la plateforme a été confrontée concernant la gestion de ses travailleurs. Cette amende vise exactement le type de management opaque et dirigé par les algorithmes contre lequel les critiques mettent en garde depuis que les plateformes de la gig economy ont automatisé la répartition et la désactivation des comptes. Elle confirme également que les règles du GDPR à l'encontre des décisions purement automatisées ont du mordant une fois que les régulateurs décident de les appliquer.

La même semaine, un autre type de décision automatisée a été mis en service sans faire l'objet d'un tel examen. Bremen a commencé à équiper un tiers de sa flotte de tramways d'un scanner de comportement par IA qui signale les passagers qu'il juge agressifs, selon netzpolitik.org. Le média décrit ce déploiement comme se déroulant sans planification claire ni garanties en matière de confidentialité, et ce malgré des résultats d'essais peu rassurants. Personne ne menace les autorités des transports de Bremen d'une amende de l'ampleur de celle d'Uber pour cette initiative.

Et à Bruxelles même, la Commission négocie un accord qui élargirait l'accès des États-Unis aux bases de données de la police européenne, comme le rapporte netzpolitik.org, le défenseur de la vie privée Max Schrems figurant parmi les critiques du projet. Il s'agit de ce même Schrems qui, en novembre dernier, qualifiait de trumpiennes les pratiques législatives à l'origine d'une fuite d'un texte de réforme du GDPR. Cette fois, la plainte est différente sur le fond, mais pas sur la forme. Une institution européenne s'apprête en effet à transférer davantage de données de citoyens outre-Atlantique avec moins de débat public que pour les règles qu'elle fait appliquer aux entreprises privées.

Un algorithme est facile à sanctionner d'une amende. Un gouvernement qui négocie des données de police ne l'est pas.

Mettez ces trois éléments côte à côte et une asymétrie familière réapparaît. Les éditoriaux de ce mois-ci ont suivi la façon dont les tribunaux et les régulateurs nationaux ont montré les dents sur le papier. Un tribunal allemand a notamment forcé Amazon à revoir ses rapports liés au DSA, et un régulateur de Land a contesté le déploiement du AI Act par Berlin. L'application de la loi à l'encontre des entreprises ne cesse de se durcir. L'examen de ce que font les autorités publiques avant tout déploiement ne suit pas le même rythme, qu'il s'agisse d'un opérateur de tramway installant des caméras d'analyse comportementale ou d'une Commission négociant l'accès aux données avec un gouvernement étranger. Une amende de la taille de celle d'Uber envoie un signal fort à toute plateforme prenant des décisions automatisées sur des Européens. Elle n'en envoie cependant aucun aux personnes qui décident, au nom des Européens, du sort de leurs données avant même que quiconque ne puisse intenter une action en justice.

Citoyens…

Pour les chauffeurs et les livreurs d'Uber, cette amende concerne moins l'argent échangé entre les régulateurs et une plateforme qu'une décision selon laquelle l'entreprise doit laisser un humain, et non une boîte noire, prendre les décisions qui mettent fin à la capacité d'une personne à générer des revenus sur l'application. Quiconque voyage en tramway à Bremen ce mois-ci est soumis à un autre type de jugement automatisé, beaucoup moins clair. L'autorité des transports n'a en effet pas encore expliqué qui examine les signalements de son scanner de comportement ni ce qui se passe ensuite.

Deux autres affaires allemandes vont dans le même sens. HateAid a déposé une plainte pénale contre Meta pour des enregistrements clandestins présumés par ses lunettes intelligentes, et le commissaire du pays à la protection des données a enregistré une forte augmentation des violations de données de santé cette année. Rien de tout cela ne relève d'une politique abstraite : c'est ce qui ressort des traces de données laissées par le consommateur lui-même.

Entreprises…

Pour toute entreprise prenant des décisions automatisées concernant des clients ou des travailleurs de la gig economy en Europe, l'amende d'Uber constitue le signal de conformité le plus clair de l'année. Les régulateurs de plusieurs États membres peuvent agir et agiront en conséquence, et le montant associé n'est pas symbolique. L'exposition aux décisions automatisées vient tout simplement de devenir un chiffre débattu au niveau des conseils d'administration.

Un risque plus silencieux, mais connexe, est apparu dans un rapport sur les visages générés par l'IA qui déjouent les systèmes de vérification d'identité. Les entreprises qui s'appuient sur la reconnaissance faciale ou sur de simples vérifications du vivant pour l'intégration de clients ou la prévention de la fraude sont déjà en retard par rapport à la technologie censée les tromper. Le rapport lie le problème à l'approche du AI Act de l'UE concernant les contenus synthétiques, poussant vers une véritable preuve d'origine plutôt que vers la seule reconnaissance de modèles.

Administrations…

Les propres négociations de la Commission avec Washington concernant l'accès aux bases de données de la police méritent la même attention que celle que Bruxelles applique à tous les autres. Les critiques de Schrems font écho à un avertissement qu'il a lancé en novembre dernier au sujet de la fuite d'un projet de réforme du GDPR. Il s'agit là d'une inquiétude récurrente sur la manière dont les propres institutions de l'UE élaborent les règles relatives aux données qui quittent le bloc européen.

Le déploiement des tramways de Bremen est une étude de cas pour tout organisme public qui acquiert des systèmes d'IA : un essai aux résultats peu concluants n'a pas suffi à empêcher un déploiement à l'échelle de la flotte. C'est exactement le type de lacune préalable au déploiement que les batailles de mise en œuvre du AI Act de ce mois-ci, en Allemagne et ailleurs, sont censées combler.

Également aujourd'hui

• Le norvégien RunwayVC a réalisé une première clôture de 40 millions d'euros pour son deuxième fonds dédié aux technologies industrielles · EU-Startups
• L'Europe a enregistré plus de 45 accords de financement dans la tech d'une valeur de plus de 684 millions d'euros la semaine dernière · Tech.eu
• L'entreprise allemande de robotique NEURA a acquis Adlatus Robotics pour intégrer l'IA aux robots de nettoyage · EU-Startups
• La Commission européenne organise une journée de présentation pour les finalistes de son Apply AI Startup Award · European Commission Digital Strategy
• L'entreprise londonienne Embedd a levé 2,3 millions d'euros pour construire l'infrastructure logicielle de l'IA physique · EU-Startups
• Le londonien Boldr a levé 4,2 millions d'euros pour développer sa plateforme intelligente de chauffage et de refroidissement · EU-Startups
• L'agence néerlandaise UWV a présenté une approche de cybersécurité basée sur les risques et liée au Cyber Security Act · Digitale Overheid
• La CNIL a publié de bonnes pratiques pour protéger les données personnelles dans les outils collaboratifs de l'enseignement supérieur · CNIL
• Boldr a levé 5 millions de dollars pour transformer les systèmes énergétiques domestiques britanniques en capacité pour le réseau électrique · Tech.eu
• L'entreprise berlinoise Kazimi a levé 2,2 millions d'euros en pré-amorçage pour lutter contre l'activité des bots dans le marketing mobile · Tech.eu
• Bosch commencera à produire des robots humanoïdes pour la startup britannique Humanoid à partir de 2027 · Presse-Citron
• Une enquête menée dans sept pays a révélé que 41 % des dirigeants s'attendent à ce que l'IA réduise leurs effectifs · Presse-Citron
• L'edtech hongroise BOOKR a levé 6,1 millions d'euros pour étendre ses outils de lecture et de langue à l'échelle mondiale · The Recursive
• La société berlinoise Kazimi a également obtenu 2,2 millions d'euros pour aider les applications à vérifier les données face aux bots · EU-Startups

Sources

• Confirmation d'une amende de près de 825 millions d'euros contre Uber pour des décisions automatisées affectant les chauffeurs · CNIL
• Signalement du déploiement par Bremen d'un scanner de comportement par IA sur un tiers de sa flotte de tramways · netzpolitik.org
• Informations détaillées sur les négociations entre l'UE et les États-Unis concernant l'accès aux données de la police, critiquées par Max Schrems · netzpolitik.org
• Couverture de la plainte pénale déposée par HateAid contre Meta au sujet de ses lunettes intelligentes en Allemagne · Heise Online
• Rapport sur une forte augmentation des violations de données de santé en Allemagne, avec 428 cas enregistrés à fin juillet · Heise Online
• Analyse de la manière dont les visages générés par l'IA déjouent les systèmes de vérification d'identité en ligne · Agenda Digitale